Αθήνα, Αριθ. Πρωτ.: Γ/ΕΞ/5899/ Α Π Ο Φ Α Σ Η ΑΡ. 109/2013

Transcript

1 ΕΛΛΗΝΙΚΗ ΗΜΟΚΡΑΤΙΑ ΑΡΧΗ ΠΡΟΣΤΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ Αθήνα, Αριθ. Πρωτ.: Γ/ΕΞ/5899/ Α Π Ο Φ Α Σ Η ΑΡ. 109/2013 Η Αρχή Προστασίας εδοµένων Προσωπικού Χαρακτήρα συνήλθε µετά από πρόσκληση του Προέδρου της σε έκτακτη συνεδρίαση στην έδρα της την , σε συνέχεια της από έκτακτης συνεδρίασής της, προκειµένου να εξετάσει την υπόθεση που αναφέρεται στο ιστορικό της παρούσας. Παρέστησαν οι Π. Χριστόφορος, Πρόεδρος της Αρχής, Λ. Κοτσαλής,. Μπριόλας, Α. Συµβώνης, ως εισηγητής, Π. Τσαντίλας και Κ. Χριστοδούλου, τακτικά µέλη, και το αναπληρωµατικό µέλος Γ. Λαζαράκος σε αντικατάσταση του τακτικού µέλους Α.-Ι. Μεταξά, ο οποίος, αν και κλήθηκε νοµίµως εγγράφως, δεν παρέστη λόγω κωλύµατος. Στη συνεδρίαση, χωρίς δικαίωµα ψήφου, παρέστησαν οι ειδικοί επιστήµονες υπάλληλοι του Τµήµατος Ελεγκτών Ε. Σιουγλέ, Ε. Ι. Τσακιρίδου, Ι. Λυκοτραφίτης και Κ. Λιµνιώτης, ως βοηθοί εισηγητές, και η Μ. Γιαννάκη, υπάλληλος του Τµήµατος ιοικητικού Οικονοµικού, ως γραµµατέας, µετά από εντολή του Προέδρου. Στην έκτακτη συνεδρίαση της και µετά από κλήση της Αρχής (Γ/ΕΞ/4601/ ) παρέστη ως εκπρόσωπος της Τράπεζας HSBC BANK PLC Ελλάδος ο Γεώργιος Βασαλάκης, δικηγόρος, και εξέφρασε τις απόψεις της ως άνω τράπεζας. Η Αρχή έλαβε υπόψη τα παρακάτω: Η Αρχή πραγµατοποίησε στις 29 Νοεµβρίου 2012 επιτόπιο διοικητικό έλεγχο στην Τράπεζα HSBC BANK PLC Ελλάδος (εφεξής «υπεύθυνος επεξεργασίας»), σύµφωνα µε το άρθρο 19 στοιχ. η του ν. 2472/1997. Ο έλεγχος πραγµατοποιήθηκε στις εγκαταστάσεις του 1

2 υπευθύνου επεξεργασίας, στη διεύθυνση Λεωφ. Μεσογείων , Αθήνα, από τους υπαλλήλους του Τµήµατος Ελεγκτών Ε. Σιουγλέ, Ε. Ι. Τσακιρίδου, Ι. Λυκοτραφίτη και Κ. Λιµνιώτη (εφεξής «οµάδα ελέγχου»), µετά από την υπ αριθ. πρωτ. Γ/ΕΞ/7669/ εντολή του Προέδρου της Αρχής. Ο έλεγχος ήταν αυτεπάγγελτος και πραγµατοποιήθηκε κατόπιν διοικητικού έλεγχου της Αρχής στην εταιρεία µε την επωνυµία ΡΑΝΝΕΡ ΣΥΛΛΟΓΗΣ & ΙΑΧΕΙΡΙΣΗΣ ΠΛΗΡΟΦΟΡΙΩΝ ΕΠΕ και µε διακριτικό τίτλο Runner ΕΠΕ (εφεξής Runner) και των στοιχείων που προέκυψαν. Συγκεκριµένα, στον ως άνω έλεγχο στην εταιρεία Runner: α) συνελέγησαν ως πειστήρια φωτογραφίες από τρία (3) τιµολόγια στα οποία αναφέρεται η πώληση αρχείου εµπορικού και οικονοµικού ενδιαφέροντος από τη Runner στον υπεύθυνο επεξεργασίας, αξίας 677,73, 2.479,68 και 6.998,70 αντίστοιχα (Πειστήριο µε κωδικό Π30 για τον έλεγχο της Runner: Γ/ΕΙΣ/7858/ ), β) συνελέγη ως πειστήριο αντίγραφο σκληρού δίσκου, από την ψηφιακή ανάλυση του οποίου ανακτήθηκαν τµήµατα µηνυµάτων ηλεκτρονικού ταχυδροµείου, τα οποία είχαν ανταλλαγεί µεταξύ υπαλλήλων του υπευθύνου επεξεργασίας και της Runner, και από τα οποία προκύπτει ύπαρξη εµπορικών συναλλαγών µεταξύ του υπεύθυνου επεξεργασίας και της Runner (Πειστήριο µε κωδικό Π13 για τον έλεγχο της Runner: Γ/ΕΙΣ/7858/ ). Ο υπεύθυνος επεξεργασίας είχε υποβάλει στην Αρχή το ιδιωτικό συµφωνητικό συνεργασίας που είχε συνάψει µε τη Runner (Γ/ΕΙΣ/6872/ ). Όπως αναφέρεται σε αυτό, η Runner αναλαµβάνει να διαβιβάσει στον υπεύθυνο επεξεργασίας αρχεία προσωπικών δεδοµένων, προς επίτευξη του σκοπού της προώθησης προϊόντων ή υπηρεσιών για τρίτους δυνητικούς πελάτες του υπευθύνου. Η εν λόγω σύµβαση θα ήταν σε ισχύ για το διάστηµα 16/10/ /10/2007, και θα ανανεωνόταν αυτόµατα για ένα (1) έτος τη φορά, εφόσον οποιοδήποτε εκ των συµβαλλόµενων µερών δεν την κατήγγειλε τρεις µήνες πριν τη λήξη της. Ο έλεγχος έγινε χωρίς προηγούµενη ενηµέρωση του υπεύθυνου επεξεργασίας. Η οµάδα ελέγχου συνοµίλησε µε υπαλλήλους του υπεύθυνου επεξεργασίας και στη συνέχεια διενήργησε επιτόπιο τεχνικό έλεγχο σε ηλεκτρονικούς υπολογιστές υπαλλήλων του υπευθύνου επεξεργασίας. Στο πλαίσιο αυτό η οµάδα ελέγχου συνέλεξε ηλεκτρονικά και έντυπα πειστήρια. Η λίστα των πειστηρίων εκτυπώθηκε σε δύο (2) αντίγραφα, υπογράφηκε από την οµάδα ελέγχου, καθώς και από εκπρόσωπο του υπευθύνου επεξεργασίας και πρωτοκολλήθηκε µε αριθ. πρωτ. Γ/ΕΙΣ/7733/ Για τη διασφάλιση της ακεραιότητας των ηλεκτρονικών πειστηρίων εφαρµόστηκε αλγόριθµος κατακερµατισµού (MD5 hash) µε χρήση κατάλληλου λογισµικού. Επίσης, στο πλαίσιο του ελέγχου, ελέχθη από εκπροσώπους του υπευθύνου επεξεργασίας 2

3 ότι αντίγραφα παλαιότερων µηνυµάτων ηλεκτρονικού ταχυδροµείου που εστάλησαν από ή προς τους υπαλλήλους του τηρούνται ( archive) στην πληροφοριακή υποδοµή της Τράπεζας HSBC στην Αγγλία για διάστηµα είκοσι (20) ετών και ότι στην Ελλάδα δεν υπάρχει κανένας εξυπηρετητής (ούτε replication ούτε mail relay server). Περαιτέρω, αναφέρθηκε στην οµάδα ελέγχου ότι για να ληφθεί αντίγραφο κάποιου ηλεκτρονικού µηνύµατος από το archive που βρίσκεται στην Αγγλία, θα πρέπει να σταλεί σχετική αίτηση στην Αγγλία, προσδιορίζοντας τις λέξεις-κλειδιά βάσει των οποίων θα γίνει η αναζήτηση. Λόγω αυτού, ζητήθηκε από την οµάδα ελέγχου να αποσταλεί σχετικό αίτηµα από τον υπεύθυνο επεξεργασίας βάσει συγκεκριµένων κριτηρίων ως προς τη λέξη «runner» - για την εύρεση όλων των ηλεκτρονικών µηνυµάτων που ενδεχοµένως έστειλαν ή έλαβαν υπάλληλοι της εταιρείας και αφορούν την Runner. Η απάντηση στο αίτηµα δεν ελήφθη την ηµέρα του ελέγχου, ενώ κατόπιν µεταγενέστερων τηλεφωνικών επικοινωνιών της οµάδας ελέγχου µε εκπρόσωπο του υπεύθυνου επεξεργασίας, το σχετικό αίτηµα προς την Αγγλία συγκεκριµενοποιήθηκε περαιτέρω, βάσει και των ηλεκτρονικών διευθύνσεων συγκεκριµένων υπαλλήλων του υπευθύνου επεξεργασίας. Τα αποτελέσµατα της ως άνω αναζήτησης υποβλήθηκαν στην Αρχή, µε αποστολή κρυπτογραφηµένου ψηφιακού δίσκου (CD), µε αριθ. πρωτ. Γ/ΕΙΣ/7961/ Μετά από την ολοκλήρωση του επιτόπιου ελέγχου και τη λήψη του ανωτέρω ψηφιακού δίσκου, η οµάδα ελέγχου συνέταξε τα Πρακτικά του ελέγχου (εφεξής «Πρακτικά»), στα οποία καταγράφονται οι απαντήσεις/διευκρινήσεις του υπεύθυνου επεξεργασίας, καθώς και οι επιτόπιες παρατηρήσεις της οµάδας ελέγχου. Τα Πρακτικά εστάλησαν στον υπεύθυνο επεξεργασίας µε το υπ αριθ. πρωτ. Γ/ΕΞ/961/ έγγραφο, για υποβολή σχολίων ή/και παρατηρήσεων. Με το ίδιο έγγραφο ζητήθηκαν από τον υπεύθυνο επεξεργασίας διευκρινίσεις αναφορικά µε το γεγονός ότι κάποια εκ των ηλεκτρονικών µηνυµάτων που συνελέγησαν κατά τον έλεγχο δεν ευρέθησαν µε την αναζήτηση στο archive της Αγγλίας, παρόλο που πληρούσαν τα κριτήρια αναζήτησης. Ο υπεύθυνος επεξεργασίας απήντησε µε το υπ αριθ. πρωτ. Γ/ΕΙΣ/1455/ έγγραφο. Έπειτα, τα Πρακτικά οριστικοποιήθηκαν και απεστάλησαν στον υπεύθυνο επεξεργασίας (Γ/ΕΞ/1455-1/ ). Εν συνεχεία, η οµάδα ελέγχου µελέτησε τα Πρακτικά, πραγµατοποίησε ανάλυση των ψηφιακών πειστηρίων που είχαν συλλεχθεί κατά τον έλεγχο, και υπέβαλε στην Αρχή το µε αριθ. πρωτ. Γ/ΕΙΣ/4574/ Πόρισµα στο οποίο αναφέρονται τα ευρήµατα του ελέγχου. Στο ίδιο πόρισµα αναφέρονται και τα σχετικά ευρήµατα που προέκυψαν από την ανάλυση των ψηφιακών πειστηρίων που συνελέγησαν κατά τον προγενέστερο έλεγχο στη 3

4 Runner και τα οποία σχετίζονται µε την εξεταζόµενη υπόθεση. Με βάση τα ευρήµατα που αναφέρονται στο ως άνω πόρισµα, ο υπεύθυνος επεξεργασίας αγόραζε, κατά το διάστηµα από το 2007 µέχρι και το 2011, λίστες προσωπικών δεδοµένων από την Runner (το ότι πραγµατοποιήθηκε αγορά λιστών προκύπτει, πέρα από το περιεχόµενο σχετικών µηνυµάτων ηλεκτρονικού ταχυδροµείου µεταξύ του υπευθύνου επεξεργασίας και της Runner, και από την ύπαρξη τιµολογίων αναφορικά µε πώληση αρχείων εµπορικού και οικονοµικού ενδιαφέροντος από τη Runner στον υπεύθυνο επεξεργασίας). Στις λίστες που συνελέγησαν περιέχονται ονοµατεπώνυµα, Αριθµοί Φορολογικού Μητρώου (ΑΦΜ), ταχυδροµικές διευθύνσεις, τηλέφωνα και επαγγέλµατα (η µεγαλύτερη εκ των λιστών που βρέθηκαν περιέχει καταχωρήσεις). Όπως προκύπτει από τα ηλεκτρονικά µηνύµατα που συνελέγησαν, τα αιτήµατα του υπεύθυνου επεξεργασίας προς τη Runner για αγορά λιστών µε προσωπικά δεδοµένα αφορούσαν φυσικά πρόσωπα που ικανοποιούσαν συγκεκριµένα κριτήρια όπως κριτήρια βάσει εισοδήµατος, επαγγέλµατος, ηλικίας, φύλου, οικογενειακής κατάστασης, κατοχής αυτοκινήτου συγκεκριµένης µάρκας, στεγαστικού δανείου. Ενδεικτικά αναφέρεται τµήµα ενός τέτοιου µηνύµατος (βλ. Π13.22 του Παραρτήµατος Γ του πορίσµατος ελέγχου): «Αγαπητέ A, Σε συνέχεια της τηλεφωνικής µας επικοινωνίας σας ζητούµε να µας ετοιµάσετε προσφορά και αρχείο για επικοινωνία µέσω τηλεφώνου µε τις παρακάτω προδιαγραφές: - κάτοχοι στεγαστικού δανείου οι οποίοι θα εντοπιστούν από τους τόκους ( ) στο εκκαθαριστικό της εφορίας - µε ετήσιο οικογενειακό εισόδηµα από µέχρι Ευρώ - κάτοικοι νοµού Αττικής Στη λίστα να αναγράφονται όλα τα στοιχεία επικοινωνίας, το εισόδηµα, το επάγγελµα και το ΑΦΜ των δυνητικών πελατών. Με βάση τις προδιαγραφές αυτές όπως συζητήσαµε αναµένουµε ότι το µέγεθος του αρχείου θα πλησιάζει τα records ( ). Επίσης, δεδοµένου ότι η λίστα αυτή θα χρησιµοποιηθεί για τηλεφωνική επικοινωνία, µας ενδιαφέρουν ονόµατα που έχουν και διαθέσιµο τηλέφωνο ( ). Ευχαριστώ, Β». Ιδιαίτερα σηµειώνεται ότι ο υπεύθυνος επεξεργασίας σε διάφορα µηνύµατά του προς την Runner της ζητά οι λίστες να προκύπτουν µε βάση τα προαναφερόµενα κριτήρια (εισόδηµα, στεγαστικά δάνεια, τόκοι αυτών) επισηµαίνοντας ότι οι πληροφορίες αυτές µπορούν να αναζητηθούν από το εκκαθαριστικό της εφορίας ή οπουδήποτε αλλού (βλ. Π13.8, Π13.9, Π13.10, Π13.21, Π13.22, Παράρτηµα Γ του πορίσµατος του ελέγχου). Επισηµαίνεται, επίσης, ότι σε µήνυµα ηλεκτρονικού ταχυδροµείου µεταξύ υπαλλήλων του υπευθύνου επεξεργασίας, υπάρχει επισυναπτόµενο αρχείο µε προσωπικά δεδοµένα, µε όνοµα LIST RUNNER.xls.zip (Πειστήριο Π1.1, Παράρτηµα Β του πορίσµατος ελέγχου). Στο περιεχόµενο του µηνύµατος αναφέρεται αφενός ότι τις επόµενες ηµέρες επίκειται η λήψη 4

5 δεύτερης λίστας από άλλον προµηθευτή και αφετέρου ότι το σύνολο της λίστας «έχει περάσει από Τειρεσία», γεγονός που υποδηλώνει ότι πραγµατοποιήθηκε κάποιου είδους αντιπαραβολή µε τη βάση δεδοµένων του Τειρεσία. Το επισυναπτόµενο αρχείο περιέχει καταχωρήσεις, όπου για κάθε καταχώρηση αναγράφεται ονοµατεπώνυµο, Αριθµός Φορολογικού Μητρώου (ΑΦΜ), ταχυδροµική διεύθυνση, τηλέφωνο και το επάγγελµα. Σε κάποια µηνύµατα ηλεκτρονικού ταχυδροµείου αναφέρεται ρητά ότι οι λίστες θα χρησιµοποιηθούν για τηλεφωνική επικοινωνία (βλ. Π13.8, Π13.17, Π13.22, Παράρτηµα Γ του πορίσµατος ελέγχου), ενώ σε άλλα για αποστολή σχετικής επιστολής (βλ. Π13.9, Π13.14, Π13.16, Παράρτηµα Γ του πορίσµατος ελέγχου). Από το περιεχόµενο πολλών µηνυµάτων προκύπτει ότι ο υπεύθυνος επεξεργασίας επιθυµούσε τη συλλογή λιστών µε προσωπικά στοιχεία προσώπων που ήταν δυνητικοί και µόνο πελάτες του (βλ. Π13.8, Π13.9, Π13.10, Π13.16, Π13.21 και Π13.22 του Παραρτήµατος Γ του πορίσµατος ελέγχου, στα οποία γίνεται αναφορά για υποψήφιους πελάτες) κάτι το οποίο άλλωστε είναι και σε συνάφεια µε τα όσα αναφέρονται στη σύµβαση του υπευθύνου επεξεργασίας µε τη Runner. Στην πλειοψηφία των ανωτέρω µηνυµάτων ηλεκτρονικού ταχυδροµείου αναφέρεται, από υπαλλήλους του υπευθύνου επεξεργασίας, ότι τα στοιχεία των σχετικών λιστών πρέπει να «είναι δηµοσιοποιηµένα και να έχουν περάσει από τη λίστα αφέρµου» - µία διατύπωση από την οποία προκύπτει ότι ο υπεύθυνος επεξεργασίας δεν επιθυµούσε να επικοινωνήσει µε άτοµα τα οποία είχαν εγγραφεί στο σχετικό µητρώο που τηρεί η Αρχή σύµφωνα µε τα οριζόµενα στο άρθρο 13 παρ. 3 του ν. 2472/1997. Περαιτέρω, κατά την ανάλυση των ηλεκτρονικών πειστηρίων που συνελέγησαν κατά τον επιτόπιο έλεγχο στις εγκαταστάσεις του υπευθύνου επεξεργασίας, προκύπτει συνεργασία αυτού και µε την Ανώνυµη ιαφηµιστική Εταιρεία ATTP (εφεξής ΑΤΤΡ) για την αγορά λιστών µε προσωπικά δεδοµένα. Ειδικότερα, ανευρέθηκαν δύο µηνύµατα ηλεκτρονικού ταχυδροµείου µεταξύ υπαλλήλων του υπευθύνου επεξεργασίας και της ATTP, στα οποία γίνεται αναφορά σε αρχείο µε προσωπικά δεδοµένα που αποστέλλεται από την εταιρεία στον υπεύθυνο επεξεργασίας. Στο ένα µήνυµα υπάρχει επισυναπτόµενο αρχείο το οποίο περιέχει 365 καταχωρήσεις, όπου για την κάθε καταχώρηση αναγράφεται το ονοµατεπώνυµο, ο Αριθµός Φορολογικού Μητρώου (ΑΦΜ), o Αριθµός Φορολογικού Μητρώου συζύγου, ο αριθµός ταυτότητας, το πατρώνυµο, το µητρώνυµο, η ταχυδροµική διεύθυνση, το τηλέφωνο (κινητό και σταθερό) καθώς και εισοδήµατα (πεδία «income_y» και «income_s», που υποδηλώνουν εισόδηµα υπόχρεου και εισόδηµα συζύγου αντίστοιχα, ενώ εµφανίζεται και το άθροισµα αυτών των εισοδηµάτων). Η ταχυδροµική διεύθυνση εµφανίζεται, για την κάθε 5

6 καταχώρηση, σε δύο διαφορετικά πεδία, όπου το δεύτερο έχει διαφορετικό χρώµα (κίτρινο) και την ένδειξη «OTE» - κάτι που υποδηλώνει ότι η πηγή αυτών είναι κάποιος κατάλογος του ΟΤΕ (οπότε, για τα υπόλοιπα πεδία, ακόµα και για εκείνα που υπάρχουν σε δηµόσιο κατάλογο του ΟΤΕ, η πηγή προκύπτει πως είναι διαφορετική). Στο δεύτερο µήνυµα γίνεται αναφορά στο κοστολόγιο της λίστας, καθώς επίσης και ότι αφορά σε πρόσωπα µε συνολικό εισόδηµα άνω των Στο µήνυµα επίσης αναφέρεται ότι έχει γίνει «εκκαθάριση από Τειρεσία και αρχή προστασίας δεδοµένων» (Πειστήριο Π.11, Παράρτηµα Β του πορίσµατος του ελέγχου). Κατόπιν αυτού του ευρήµατος, και ενώ ήταν σε εξέλιξη η περαιτέρω ανάλυση των πειστηρίων του ελέγχου, πραγµατοποιήθηκε στις αυτεπάγγελτος διοικητικός έλεγχος στις εγκαταστάσεις της ΑΤΤΡ, στη διεύθυνση Τζαφέρη 16, Τ.Κ , Γκάζι, µετά από την µε αριθ. πρωτ. Γ/ΕΞ/8053/ εντολή του Προέδρου της Αρχής. Σύµφωνα µε όσα δήλωσαν οι εκπρόσωποι της εν λόγω εταιρείας κατά τον επιτόπιο έλεγχο και µετά από την ανάλυση των ηλεκτρονικών πειστηρίων του ελέγχου (τα οποία αναλυτικώς παρατίθενται στο υπ αριθ. πρωτ. Γ/ΕΙΣ/4411/ πόρισµα του ελέγχου), η ATTP διακίνησε αρχεία προσωπικών δεδοµένων µεταξύ της HSBC και τρίτης εταιρείας µε την επωνυµία «Φουλφίλ Μονοπρόσωπη Ε.Π.Ε. Μονοπρόσωπη Εταιρεία Περιορισµένης Ευθύνης παροχής υπηρεσιών, προώθησης εµπορίας και διαφήµισης προϊόντων και επιχειρήσεων FULFILL L.T.D» (εφεξής FULFILL). Η HSBC αποτελούσε έναν από τους σηµαντικότερους πελάτες της ATTP. Συγκεκριµένα, η ATTP ανταποκρίθηκε σε αίτηµα της HSBC για την παροχή αρχείων µε προσωπικά δεδοµένα πολιτών, βάσει συγκεκριµένων κριτηρίων, τα οποία προµηθεύτηκε από την FULFILL, η οποία δραστηριοποιείτο στην εµπορία αρχείων οικονοµικού και εµπορικού ενδιαφέροντος. Η ΑΤΤP προσέφερε έναντι χαµηλής αµοιβής την υπηρεσία αυτή στην HSBC. Ειδικότερα, η HSBC καθόρισε τις απαιτήσεις και τα κριτήρια σχετικά µε το περιεχόµενο των λιστών µε προσωπικά δεδοµένα που ενδιαφερόταν να αγοράσει. Το αίτηµα αφορούσε σε άτοµα συγκεκριµένου προφίλ, τα οποία θα ήταν υποψήφιοι πελάτες της HSBC για την προωθητική καµπάνια τραπεζικής υπηρεσίας. Το προφίλ περιλαµβάνει µεταξύ άλλων προσδιορισµούς του φύλου, της ηλικίας και του εισοδήµατος των υποψηφίων πελατών. Τα αρχεία περιείχαν διάφορα προσωπικά δεδοµένα φυσικών προσώπων, όπως επώνυµο, όνοµα, όνοµα πατρός, επώνυµο πατρός, όνοµα µητρός, επώνυµο µητρός, ηµεροµηνία γέννησης, φύλο, εθνικότητα, ΑΦΜ, ΑΦΜ συζύγου, κωδικός ΟΥ, αριθµός δελτίου ΑΤ, οδός, Αριθµός, ΤΚ, πόλη, νοµός, τηλέφωνο, εισόδηµα, εισόδηµα συζύγου, συνολικό εισόδηµα, επάγγελµα. Η Τράπεζα HSBC BANK PLC Ελλάδος κλήθηκε, όπως προαναφέρθηκε (µε την υπ 6

7 αριθ. πρωτ. Γ/ΕΞ/4601/ κλήση), νοµίµως σε ακρόαση ενώπιον της Αρχής στη συνεδρίαση της για να δώσει περαιτέρω διευκρινίσεις και να εκθέσει διεξοδικά τις απόψεις της. Μαζί µε την κλήση, της επιδόθηκε το υπ αριθ. πρωτ. Γ/ΕΙΣ/4574/ πόρισµα του ελέγχου, καθώς επίσης και το σχετικό απόσπασµα από τη λίστα πειστηρίων του υπ αριθ. πρωτ. Γ/ΕΙΣ/4411/ πορίσµατος του ελέγχου στην ATTP. Στη συνεδρίαση της Αρχής, την , παρέστη νοµίµως, ως εκπρόσωπος του υπευθύνου επεξεργασίας, ο Γεώργιος Βασαλάκης, δικηγόρος. Κατά την ακρόαση, ο ως άνω εκπρόσωπος εξέθεσε προφορικά τις απόψεις του υπευθύνου επεξεργασίας, ενώ ζήτησε και έλαβε προθεσµία για την υποβολή υποµνήµατος. Κατόπιν της ακρόασης, ο υπεύθυνος επεξεργασίας κατέθεσε εµπροθέσµως σχετικό υπόµνηµα (Γ/ΕΙΣ/4969/ ), εκθέτοντας και εγγράφως τις απόψεις του. Η Αρχή, µετά από εξέταση των προαναφεροµένων στοιχείων, αφού αναγνώστηκαν τα πρακτικά της συνεδρίασης της , άκουσε τον εισηγητή και τους βοηθούς εισηγητές. Οι τελευταίοι αποχώρησαν πριν τη διάσκεψη. Η Αρχή κατόπιν διεξοδικής συζήτησης, ΣΚΕΦΘΗΚΕ ΣΥΜΦΩΝΑ ΜΕ ΤΟ ΝΟΜΟ 1. Κατά το άρθρο 4 παρ. 1 στοιχ. α του ν. 2472/1997 «τα δεδοµένα προσωπικού χαρακτήρα για να τύχουν νόµιµης επεξεργασίας πρέπει να συλλέγονται κατά τρόπο θεµιτό και νόµιµο για καθορισµένους, σαφείς και νόµιµους σκοπούς και να υφίστανται θεµιτή και νόµιµη επεξεργασία ενόψει των σκοπών αυτών». Επίσης, το ίδιο άρθρο (στοιχ. β της ίδιας παρ.) ορίζει ότι τα δεδοµένα πρέπει να είναι συναφή, πρόσφορα, και όχι περισσότερα από όσα κάθε φορά απαιτείται εν όψει των σκοπών επεξεργασίας (αρχή της αναλογικότητας). 2. Περαιτέρω, σύµφωνα µε το άρθρο 5 παρ. 1 του ν. 2472/1997, η επεξεργασία δεδοµένων προσωπικού χαρακτήρα επιτρέπεται µόνον όταν το υποκείµενο έχει δώσει τη συγκατάθεσή του, εκτός εάν συντρέχει µία από τις προβλεπόµενες από την παράγραφο 2 του ιδίου άρθρου εξαιρέσεις, οπότε είναι νόµιµη η επεξεργασία και χωρίς τη συγκατάθεση του υποκειµένου. Σηµειώνεται ότι, κατά το άρθρο 2 στοιχ. ια του ν. 2472/1997, ως συγκατάθεση νοείται «κάθε ελεύθερη, ρητή και ειδική δήλωση βουλήσεως που εκφράζεται µε τρόπο σαφή, και εν πλήρη επίγνωση, και µε την οποία, το υποκείµενο των δεδοµένων, αφού προηγουµένως ενηµερωθεί, δέχεται να αποτελέσουν αντικείµενο της επεξεργασίας τα δεδοµένα προσωπικού 7

8 χαρακτήρα που το αφορούν.». Εξάλλου, σύµφωνα µε τη διάταξη του άρθρου 5 παρ. 2 στοιχ. ε του ν. 2472/1997, κατ εξαίρεση επιτρέπεται η επεξεργασία και χωρίς συγκατάθεση όταν: «η επεξεργασία είναι απολύτως αναγκαία για την ικανοποίηση του έννοµου συµφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ( ), και υπό τον όρο ότι τούτο υπερέχει προφανώς των δικαιωµάτων και συµφερόντων των προσώπων στα οποία αναφέρονται τα δεδοµένα και δεν θίγονται οι θεµελιώδεις ελευθερίες αυτών». 3. Ειδικότερα, αναφορικά µε τους όρους για την νόµιµη επεξεργασία δεδοµένων προσωπικού χαρακτήρα για σκοπούς της άµεσης εµπορίας ή διαφήµισης, η µε αριθ. 26/2004 Απόφαση της Αρχής (ΦΕΚ Β /684/ , µε την οποία επαναλήφθηκε η µε αριθ. 50/ Απόφαση της Αρχής που δεν είχε δηµοσιευθεί στην Εφηµερίδα της Κυβερνήσεως) ορίζει ότι: «Θεωρείται νόµιµη η συλλογή δεδοµένων για σκοπούς απευθείας διαφήµισης και απευθείας προώθησης πωλήσεων προϊόντων ή υπηρεσιών σύµφωνα µε το άρθρο 4 παρ. 1 εδ. α του Ν. 2472/97 είτε γίνεται εξ επαγγέλµατος είτε όχι (στην δεύτερη περίπτωση µόνον για προώθηση ή διαφήµιση ιδίων προϊόντων ή υπηρεσιών), υπό τις εξής προϋποθέσεις: I) Το υποκείµενο έδωσε τη συγκατάθεσή του σύµφωνα µε τα άρ. 2 εδ.ια) και 5 παρ.1 του Ν. 2472/97. Η συγκατάθεση είναι απαραίτητη στις περιπτώσεις της έρευνας καταναλωτικής συµπεριφοράς µε σκοπό την άµεση ή έµµεση διαφήµιση προϊόντων η την παροχή υπηρεσιών. II) Το υποκείµενο δεν έχει δώσει την συγκατάθεσή του οπότε η επεξεργασία είναι νόµιµη κατ εξαίρεση σύµφωνα µε το Άρθρο 5 παρ.2, εδ. ε, διότι α) είναι απολύτως αναγκαία για την ικανοποίηση τού εννόµου συµφέροντος πού επιδιώκει ο υπεύθυνος επεξεργασίας β) το έννοµο συµφέρον αυτού υπερέχει προφανώς του συµφέροντος του υποκειµένου, ενόψει του ότι τα συµφέροντα των υποκειµένων των δεδοµένων των οποίων επιτρέπεται η επεξεργασία (βλ. παρακ. υπό ΙΙΙ.3) δεν θίγονται ουσιωδώς, δηλαδή δεν θίγονται σε τέτοιο βαθµό, ώστε να δικαιολογείται η απαγόρευση των εν θέµατι δραστηριοτήτων και γ) πάντως δεν θίγονται οι θεµελιώδεις ελευθερίες του υποκειµένου. ( ) III) Για να γίνει χρήση της εξαίρεσης του αρ.5 παρ.2 εδ. ε πρέπει να συντρέχουν οι εξής προϋποθέσεις: 1) τα δεδοµένα να προέρχονται από καταλόγους πού απευθύνονται στο ευρύ κοινό (π.χ. τηλεφωνικός κατάλογος του ΟΤΕ) και να υπάρχει η βεβαιότητα ότι τα υποκείµενα που έχουν συµπεριληφθεί σε αυτόν έχουν δώσει την συγκατάθεσή τους, ή από πηγές δηµόσια προσβάσιµες που προορίζονται για την παροχή πληροφοριών στο ευρύ κοινό, εφόσον στην συγκεκριµένη περίπτωση έχουν τηρηθεί οι νόµιµες προϋποθέσεις για την πρόσβαση σ αυτές, ή το ίδιο το 8

9 υποκείµενο να δηµοσιοποίησε τα προσωπικά του δεδοµένα για συναφείς σκοπούς (π.χ διανοµή διαφηµιστικών φυλλαδίων, συµµετοχή σε καταλόγους εµπορικών εκθέσεων κλπ). ( ) 3) Ο υπεύθυνος επεξεργασίας να περιορίζεται στα απολύτως αναγκαία δεδοµένα για την επίτευξη του συγκεκριµένου σκοπού. Ως τέτοια θεωρούνται µόνο το ονοµατεπώνυµο, η διεύθυνση και το επάγγελµα. ( )». 4. Σύµφωνα µε την παρ. 1 του άρθρου 11 του ν. 3471/2006, όπως τροποποιήθηκε µε το ν. 3917/2011, «η χρησιµοποίηση αυτόµατων συστηµάτων κλήσης, ιδίως µε χρήση συσκευών τηλεοµοιοτυπίας (φαξ) ή ηλεκτρονικού ταχυδροµείου, και γενικότερα η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε οποιοδήποτε µέσο ηλεκτρονικής επικοινωνίας, χωρίς ανθρώπινη παρέµβαση, για σκοπούς απευθείας εµπορικής προώθησης προϊόντων ή υπηρεσιών και για κάθε είδους διαφηµιστικούς σκοπούς, επιτρέπεται µόνο αν ο συνδροµητής συγκατατεθεί εκ των προτέρων ρητώς». Σύµφωνα µε την παρ. 2 του άρθρου 11 του ν. 3471/2006, όπως τροποποιήθηκε µε το ν. 3917/2011, «δεν επιτρέπεται η πραγµατοποίηση µη ζητηθεισών επικοινωνιών µε ανθρώπινη παρέµβαση (κλήσεων) για τους ανωτέρω σκοπούς, εφόσον ο συνδροµητής έχει δηλώσει προς τον φορέα παροχής της διαθέσιµης στο κοινό υπηρεσίας, ότι δεν επιθυµεί γενικώς να δέχεται τέτοιες κλήσεις. Ο φορέας υποχρεούται να καταχωρίζει δωρεάν τις δηλώσεις αυτές σε ειδικό κατάλογο συνδροµητών, ο οποίος είναι στη διάθεση κάθε ενδιαφεροµένου». Σηµειώνεται ότι, πριν την τροποποίηση του ν. 3471/2006 που έλαβε χώρα µε το ν. 3917/2011, για την πραγµατοποίηση µη ζητηθεισών κλήσεων για τους ανωτέρω σκοπούς ήταν, κατ αρχήν, υποχρεωτική η προηγούµενη λήψη της συγκατάθεσης του καλούµενου (σύστηµα «opt-in»). Πλέον, µετά την ανωτέρω τροποποίηση, οι φορείς που επιθυµούν να πραγµατοποιούν προωθητικές ενέργειες, µπορούν να πραγµατοποιούν µη ζητηθείσες κλήσεις µε ανθρώπινη παρέµβαση, εφόσον ο καλούµενος δεν έχει δηλώσει στον πάροχό του ότι δεν επιθυµεί να δέχεται τέτοιες κλήσεις (σύστηµα «opt-out»). 5. Κατά το άρθρο 10 παρ. 2 του ν. 3471/2006 «τα περιεχόµενα στους έντυπους ή ηλεκτρονικούς καταλόγους συνδροµητών [τηλεπικοινωνιακών υπηρεσιών] δεδοµένα προσωπικού χαρακτήρα, τα οποία βρίσκονται στη διάθεση του κοινού ή µπορούν να ληφθούν µέσω των υπηρεσιών πληροφοριών καταλόγου, πρέπει να περιορίζονται στα απαραίτητα για την αναγνώριση της ταυτότητας συγκεκριµένου συνδροµητή (όνοµα, επώνυµο, πατρώνυµο, διεύθυνση), εκτός εάν ο συνδροµητής έχει δώσει τη ρητή συγκατάθεση του για τη δηµοσίευση συµπληρωµατικών δεδοµένων προσωπικού χαρακτήρα». Αντίστοιχη πρόβλεψη υπάρχει και στο άρθρο 5 παρ. 3 του Κανονισµού της Εθνικής 9

10 Επιτροπής Τηλεπικοινωνιών και Ταχυδροµείων (ΕΕΤΤ) για τον καθορισµό της µορφής των καταλόγων συνδροµητών, Απόφαση 491/026/2008 (ΦΕΚ Β /1622/ ), όπου ορίζεται ότι «τα στοιχεία των συνδροµητών που καταχωρούνται στον κατάλογο, ατελώς για τους συνδροµητές, περιορίζονται στα απαραίτητα για την αναγνώριση της ταυτότητας συγκεκριµένου συνδροµητή και συνίστανται σε: α. Επώνυµο, β. Όνοµα, γ. Πατρώνυµο, δ. ιεύθυνση. Λοιπά στοιχεία, όπως το επάγγελµα, οι διευθύνσεις ηλεκτρονικού ταχυδροµείου καθώς και προσωπικών ιστοσελίδων, δύναται να περιλαµβάνονται στον κατάλογο, ατελώς για το συνδροµητή και κατόπιν υποβολής σχετικού αιτήµατός του, σύµφωνα µε τις διατάξεις της κείµενης νοµοθεσίας». 6. Σύµφωνα µε το άρθρο 6 του ν. 2472/1997, ο υπεύθυνος επεξεργασίας οφείλει να γνωστοποιεί εγγράφως στην Αρχή τη σύσταση και λειτουργία αρχείου ή την έναρξη της επεξεργασίας (εφόσον δεν εµπίπτει σε κάποια από τις εξαιρέσεις του άρθρου 7Α του ιδίου νόµου). O υπεύθυνος επεξεργασίας, σε συνέχεια της υποβολής προς την Αρχή της σύµβασής του µε τη Runner (Γ/ΕΙΣ/6872/ ), υπέβαλε στην Αρχή την υπ αριθ. πρωτ. ΓΝ/ΕΙΣ/799/ γνωστοποίηση τήρησης αρχείου προσωπικών δεδοµένων για το σκοπό της προώθησης προϊόντων και υπηρεσιών. Στη γνωστοποίηση αυτή ο υπεύθυνος επεξεργασίας δηλώνει ότι η επεξεργασία γίνεται σύµφωνα µε τους όρους της µε αριθ. 50/ Απόφασης της Αρχής και ότι οι πηγές των δεδοµένων είναι δηµόσια προσιτοί κατάλογοι (π.χ. ΟΤΕ). Ακολούθως, ο υπεύθυνος επεξεργασίας υπέβαλε νέα γνωστοποίηση µε αριθ. πρωτ. ΓΝ/ΕΙΣ/866/ οµοίως για το σκοπό της προώθησης προϊόντων και υπηρεσιών. Στην τελευταία αυτή γνωστοποίηση δηλώνονται, ως πηγές των δεδοµένων, φυσικά ή νοµικά πρόσωπα που συνδέονται άµεσα µε τα υποκείµενα των δεδοµένων, φυσικά ή νοµικά πρόσωπα που συνδέονται άµεσα µε τον υπεύθυνο επεξεργασίας, ασφαλιστικές εταιρείες καθώς και λοιπά νοµικά πρόσωπα ιδιωτικού δικαίου (και όχι δηµόσια προσιτοί κατάλογοι, π.χ. ΟΤΕ). 7. Στη συγκεκριµένη περίπτωση, από τα ευρήµατα των επιτόπιων ελέγχων (βλ. υπ αριθ. πρωτ. Γ/ΕΙΣ/4574/ πόρισµα ελέγχου στην HSBC, καθώς και υπ αριθ. πρωτ. Γ/ΕΙΣ/4411/ πόρισµα ελέγχου στην ATTP), και την ακρόαση των εκπροσώπων της HSBC και της ATTP, προκύπτει ότι η ως άνω τράπεζα (HSBC) αγόρασε λίστες µε προσωπικά δεδοµένα από τις εταιρείες Runner και ATTP, για το σκοπό της στοχευµένης προώθησης προϊόντων και υπηρεσιών σε δυνητικούς υποψήφιους πελάτες, που κατά προτίµηση είχαν υψηλό εισόδηµα (βλ. και τη διαφηµιζόµενη υπηρεσία HSBC Premier για ευκατάστατους πελάτες, τραπεζικό προϊόν που αναφέρθηκε και από τους εκπροσώπους της 10

11 ATTP, για την προώθηση του οποίου αγοράστηκε η λίστα από την τελευταία εταιρεία). Αγορά λίστας προσωπικών δεδοµένων από την εταιρεία ATTP έλαβε χώρα µόνο µία φορά το 2011, ενώ αντιθέτως η συνεργασία µε τη Runner ήταν ενεργή κατά το διάστηµα από τα τέλη του 2006 µέχρι τις αρχές του 2012 και ο υπεύθυνος επεξεργασίας (HSBC) αγόραζε από την τελευταία εταιρεία, κατά το διάστηµα από το 2007 µέχρι και το 2011, λίστες προσωπικών δεδοµένων σε συνεχή και επαναλαµβανόµενη βάση. Ο συγκεκριµένος σκοπός επεξεργασίας (προώθηση προϊόντων και υπηρεσιών σε δυνητικούς πελάτες) είναι καθορισµένος, σαφής και νόµιµος. Ωστόσο, η αγορά των εν λόγω λιστών έγινε µε βάση συγκεκριµένα κριτήρια ως προς τα πρόσωπα που θα περιέχονται σε αυτές - όπως, για παράδειγµα, κριτήρια εισοδήµατος, ύπαρξης στεγαστικού δανείου, κατοχής συγκεκριµένων µοντέλων αυτοκινήτων, κτλ. για τα οποία οι σχετικές πληροφορίες δεν µπορούν να προκύψουν από δηµόσια προσβάσιµες πηγές. Σηµειώνεται ότι τούτο σαφώς ήταν εις γνώσιν του υπευθύνου επεξεργασίας. Μάλιστα και οι ίδιοι οι υπάλληλοι της HSBC επισήµαιναν σε µηνύµατα ηλεκτρονικού ταχυδροµείου προς την εταιρεία Runner ότι οι πληροφορίες που ζητούσαν για λογαριασµό της HSBC θα έπρεπε να αναζητηθούν από το εκκαθαριστικό της εφορίας, ενώ και ο εκπρόσωπος ακόµη του υπευθύνου επεξεργασίας, ερωτηθείς κατά τη διαδικασία ακρόασης, δεν υποστήριξε ότι υπήρχε κάποια νόµιµα προσβάσιµη πηγή, από την οποία δικαιολογηµένα να πίστευαν οι υπάλληλοι της HSBC ότι προέρχονται τα δεδοµένα. Περαιτέρω, επισηµαίνεται ότι οι όροι στις σχετικές συµβάσεις του υπευθύνου επεξεργασίας µε τις εταιρείες Runner και ATTP περί ευθύνης των τελευταίων για τη νοµιµότητα λήψης των στοιχείων, δεν µπορεί να άρουν την αντίστοιχη ευθύνη του υπευθύνου επεξεργασίας αναφορικά µε τη λήψη των στοιχείων από πλευράς του, διότι ζήτησε και αγόρασε λίστες βάσει συγκεκριµένων κριτηρίων που έθετε ο ίδιος και τα οποία κατά κανόνα προϋποθέτουν - προκειµένου να δηµιουργηθεί η σχετική λίστα στοιχείων - τη δυνατότητα µη εξουσιοδοτηµένης πρόσβασης σε βάσεις προσωπικών δεδοµένων (κριτήριο αυτού του είδους αποτελεί, όπως προαναφέρθηκε, το ετήσιο εισόδηµα, το οποίο µάλιστα εµφανίζεται στη λίστα που ο υπεύθυνος επεξεργασίας αγόρασε από την ATTP). Σηµειώνεται επίσης ότι, µε βάση τα ευρήµατα του ελέγχου, προκύπτει ότι για τις λίστες που έλαβε ο υπεύθυνος επεξεργασίας, υπήρξε και κάποιου είδους πρόσβαση στη βάση δεδοµένων του Τειρεσία, πιθανότατα από τον υπεύθυνο επεξεργασίας που, ως τράπεζα, έχει πρόσβαση στη βάση του Τειρεσία για τους σκοπούς που καταρχάς ορίζουν οι µε αριθ. 24 και 25/2004 Αποφάσεις της Αρχής (ΦΕΚ Β /684/ ), σε καµία όµως περίπτωση για τον σκοπό της άµεσης προώθησης προϊόντων ή υπηρεσιών, χωρίς αίτηση του ενδιαφεροµένου 11

12 για κατάρτιση σύµβασης (π.χ. δανείου) µε την τράπεζα ή ενεργή σύµβαση (βλ. και άρθρο 40 του ν. 3259/2004, όπως τροποποιήθηκε και ισχύει). Επισηµαίνεται ότι, παρόλο που ο εκπρόσωπος του υπευθύνου επεξεργασίας ερωτήθηκε κατά την ακρόαση για την πρόσβαση στον Τειρεσία, δεν παρέσχε απάντηση ούτε προφορική ούτε µε το υποβληθέν έγγραφο υπόµνηµά του. Εξάλλου, κατά την ακρόαση τέθηκε γενικότερα το ερώτηµα περί της ακριβούς διαδικασίας που ακολουθείτο για την επεξεργασία και εκκαθάριση των λιστών, ωστόσο ο υπεύθυνος επεξεργασίας δεν απάντησε ούτε κατά την ακρόαση ούτε µε το έγγραφο υπόµνηµά του. Επίσης, σηµειώνεται ότι απάντηση δεν δόθηκε και σε συµπληρωµατική διευκρίνιση που ζητήθηκε αναφορικά µε το ακριβές είδος µηνυµάτων ηλεκτρονικού ταχυδροµείου που τηρούνται στην Αγγλία (το ερώτηµα αυτό τέθηκε σε σχέση µε το γεγονός ότι το πλήθος µηνυµάτων που υποβλήθηκαν στην Αρχή µε το υπ αριθ. πρωτ. Γ/ΕΙΣ/7961/ έγγραφο (ψηφιακό δίσκο) ήταν πολύ µικρό, σε συνδυασµό και µε τη σχετική, µη πειστική κατά την εκτίµηση της Αρχής, δικαιολόγηση της εταιρείας µε το υπ αριθ. πρωτ. Γ/ΕΙΣ/1455/ έγγραφο). Από όλα τα στοιχεία του φακέλου (βλ., ιδίως, τα ευρήµατα του ελέγχου ως προς το είδος των δεδοµένων που περιείχαν οι επίµαχες λίστες, το περιεχόµενο των σχετικών ηλεκτρονικών µηνυµάτων µεταξύ της HSBC και των εταιρειών Runner και ATTP, και το αναφερθέν παράπονο που διατύπωσε προς την HSBC παραλήπτης διαφηµιστικού µηνύµατος της τελευταίας), προκύπτει σαφώς ότι δεν είχε ληφθεί η συγκατάθεση των υποκειµένων των δεδοµένων για την εν λόγω συλλογή δεδοµένων, τα δεδοµένα δεν ελήφθησαν από πηγές δηµόσια προσβάσιµες που προορίζονται για την παροχή πληροφοριών στο ευρύ κοινό ούτε τα ίδια τα υποκείµενα είχαν δηµοσιοποιήσει τα δεδοµένα τους για συναφείς σκοπούς, και αυτά ήταν εις γνώσιν του υπευθύνου επεξεργασίας. Περαιτέρω, προκύπτει ότι ο υπεύθυνος επεξεργασίας αγόρασε, τήρησε σε αρχείο και επεξεργάστηκε για δικούς του οικονοµικούς σκοπούς λίστες µε παρανόµως συλλεχθέντα προσωπικά δεδοµένα και παραβίασε τις διατάξεις του άρθρου 4 για τη νοµιµότητα κάθε συλλογής δεδοµένων προσωπικού χαρακτήρα, καθώς επίσης και τις διατάξεις του άρθρου 5 του ν. 2472/ Η επικοινωνία, για σκοπούς προώθησης προϊόντων και υπηρεσιών, µε τα πρόσωπα των οποίων τα στοιχεία υπήρχαν στις ως άνω λίστες γινόταν (βλ. τα ευρήµατα του ελέγχου) είτε µέσω τηλεφώνου είτε µέσω ταχυδροµικής επιστολής. Σηµειώνεται τέλος ότι ο υπεύθυνος επεξεργασίας για όσο διάστηµα ήταν σε ισχύ ο ν. 3471/2006 πριν την τροποποίησή του από το ν. 3917/2011 είχε την υποχρέωση λήψης συγκατάθεσης των υποκειµένων των δεδοµένων 12

13 για να ενεργεί τηλεφωνικές κλήσεις. 9. Ενόψει της βαρύτητας της παράβασης που διαπιστώθηκε, του πλήθους των προσώπων στα οποία αφορούσαν τα δεδοµένα που συνελέγησαν, του είδους αυτών, καθώς και του γεγονότος ότι ο υπεύθυνος επεξεργασίας σκοπούσε µε τις ανωτέρω ενέργειες οπωσδήποτε να αποκοµίσει κέρδος, η Αρχή κρίνει οµόφωνα ότι πρέπει να επιβληθεί στον υπεύθυνο επεξεργασίας η προβλεπόµενη στο άρθρο 21 παρ. 1 στοιχ. β του ν. 2472/1997 κύρωση που αναφέρεται στο διατακτικό της παρούσας και η οποία κρίνεται ανάλογη µε τη βαρύτητα της παράβασης. ΓΙΑ ΤΟΥΣ ΛΟΓΟΥΣ ΑΥΤΟΥΣ Η Αρχή: 1) Επιβάλλει, µε βάση τα άρθρα 19 παρ. 1 στοιχ. στ και 21 του ν. 2472/1997, στην Τράπεζα HSBC BANK PLC Ελλάδος πρόστιµο εβδοµήντα πέντε χιλιάδων (75.000) Ευρώ για την ως άνω διαπιστωθείσα παραβίαση των διατάξεων των άρθρων 4 και 5 του ν. 2472/1997, καθώς επίσης και καταστροφή κάθε σχετικής λίστας µε προσωπικά δεδοµένα που συλλέχτηκε µε τον τρόπο που αναφέρεται στο σκεπτικό της παρούσας κατά παραβίαση των ως άνω άρθρων, µε ακόλουθη ενηµέρωση της Αρχής. 2) Απευθύνει, µε βάση το άρθρο 19 παρ. 1 στοιχ. γ του ν. 2472/1997, σύσταση στην Τράπεζα HSBC BANK PLC Ελλάδος να συµµορφώνεται, αναφορικά µε την προώθηση προϊόντων και υπηρεσιών, σε όσα προβλέπονται στο άρθρο 11 του ν. 3471/2006, όπως τροποποιήθηκε και ισχύει, και στις σχετικές Κανονιστικές Πράξεις και Οδηγίες της Αρχής. Ο Πρόεδρος Η Γραµµατέας Πέτρος Χριστόφορος Μελποµένη Γιαννάκη 13